Par ses façons de voir et ses thèses controversées, l'expert en gestion des risques, Alex Sidorenko, incite à réfléchir sur la gestion des risques. Par ses expériences et ses exemples pratiques sur ce sujet central et les domaines de recherche annexes, il suscite toujours mon enthousiasme. Il amène bon nombre de supposés experts en gestion des risques à abandonner leurs belles théories, les ramenant à la réalité et  „concrétisant“ ainsi le sujet.

J'ai trouvé l'article suivant de mars de cette année sur sa page très informative „Risk Academy“. Et comme beaucoup de membres de LinkedIn et de collègues préfèrent tout comme moi lire la littérature spécialisée en français plutôt qu'en anglais, (voire même en russe) et ayant trouvé cet article très intéressant, je vous en propose ici une traduction approximative.

Appétit pour le risque : Comment faire du neuf avec un vieux concept

Le concept d'appétit pour le risque („Risk Appetite“) existe certes déjà depuis longtemps, mais en fait, dans la communauté de gestion des risques, il crée plutôt de la confusion et de l'incertitude. Et les managers des risques se demandent donc à juste titre comment au juste quantifier, formaliser et documenter le concept abstrait d'„appétit pour le risque“. La réponse de Sidorenko est la suivante : il n'existe en fait aucune raison pour le faire, car il existe un meilleur moyen.

Son argumentation : la plupart des entreprises (à l'exception des professionnels du secteur financier pour lesquels le concept d'appétit pour le risque fonctionne probablement bien) ont d'une manière ou d'une autre déjà documenté leur appétit ou leur tolérance pour le risque, p. ex. pour leurs décisions ou leurs activités commerciales, entre autres dans les domaines suivants :

• Séparation des tâches / Segregation of Duties,
• Limites pour transactions financières,
• Critères de sélection et exigences minimales pour les fournisseurs,
• Critères d'investissement,
• Tolérance zéro pour fraude, harcèlement au travail ou
• EHS („Safety First“ : protection de l'environnement, de la santé et sécurité)

Comme vous pouvez le voir, différents appétits pour le risque existent déjà depuis des décennies pour divers secteurs d'activités et fonctions, et ceci bien avant que l'expression „appétit pour le risque“ ne soit en vogue.

Mais alors, pourquoi ce battage médiatique autour de l'appétit pour le risque ?

Selon Alex Sidorenko, vraiment pas grand-chose de neuf. D'après son estimation, il s'agit seulement d'un autre mot à la mode dans le jargon des consultants. En effet, toute tentative pour rassembler les risques individuels en un seul et unique appétit pour le risque est aussi bien inutile  qu'irréaliste (tout au moins pour les non-professionnels de la finance). Selon Sidorenko, même certaines déclarations séparées sur l'appétit pour le risque passent complètement à côté du vrai cœur du sujet.
(À cet endroit, Sidorenko incite ses lecteurs à discuter avec lui pour savoir si l'appétit pour le risque est plus qu'un outil de prise de décision pour la direction et s'il s'agit seulement de „cocher une case“ pour une représentation transparente des décisions pour tous les acteurs.)

80% existe déjà, 20% doit être développé

Alors, au lieu de définir séparément des nouveaux „appétits pour les risques“, les managers des risques feraient mieux de vérifier au niveau de la direction les déclarations sur l'appétit pour le risque et les limites de tolérance portant sur les directives ou les politiques et les façons de procéder déjà existantes.

Un certain appétit pour les risques a donc déjà été implicitement défini par la plupart des décisions dans les entreprises. Par exemple, par des directives internes interdisant éventuellement toute activité commerciale avec d'autres entreprises ayant recours au travail forcé ou au travail des enfants, ou qui font l'objet de sanctions économiques. Ou la règle fixée de non-financement des investissements dans des projets à haut risque qu'avec des capitaux propres est documentée. Ou l'entreprise est tenue de ne pas donner de marge de financement supplémentaire à de mauvais payeurs.

Dans les domaines dans lesquels un appétit pour les risques a déjà été défini, il incombe au manager du risque et au vérificateur interne de vérifier si les déclarations et les limites de tolérance du risque a) sont réalistes et b) sont aussi vraiment respectées.

Selon Sidorenko, toute décision commerciale est déjà dès à présent à 80%  prise sur la base d'appétits pour les risques qualitativement/quantitativement définis. Le manager du risque doit donc „seulement“ valider et surveiller ces limites de tolérance déjà existantes et déclarer toute activité inhabituelle ou non conforme.

Pour les 20%, restants, pour lesquels un appétit pour le risque n'a pas encore été défini sur la base de directives et de façons de procéder, le manager du risque devrait élaborer avec les responsables des valeurs-seuils et les intégrer dans les politiques et les procédures existantes. Les tolérances du risque peuvent être selon Sidorenko divisées en trois groupes :

• tolérance zéro,
• acceptables dans des limites quantitatives définies, ou
• acceptables dans des valeurs-seuils définies.

Pour documenter l'appétit pour le risque, les managers des risques peuvent se servir des méthodes connues : comme simulation Monte Carlo, analyse du scénario ou arbres de décisions. Les tolérances, une fois définies, devraient être soumises à un contrôle régulier quant à leur pertinence et leur applicabilité.

Je partage l'avis de Sidorenko que le sujet de l'appétit pour les risques, comme en fait l'ensemble de la gestion des risques, peut et doit être plus fortement ancré au niveau de la direction. La documentation de diverses tolérances des risques et de leur intégration dans les „politiques & procédures“ de gestion de l'entreprise est un pas dans la bonne direction.